# sury.org-repositoryet: PHP-pakker fra en tredjepartskilde

> Sury-PHP-repositoryet til Debian og Ubuntu: hvem der vedligeholder det, forskellen fra Debian, kontrol af PHP2Shell-status og hvornår det bliver en risiko.

Kilde: https://phpsos.de/da/blog/sury-repository-php/  
Status: 25.10.2026  
Udbyder: PHP SOS, PHP-nødhjælp og serversikkerhed. Akut hjælp på WhatsApp: https://wa.me/491736494914?text=Hej%20PHP%20SOS%2C%20vi%20har%20brug%20for%20hj%C3%A6lp%20med%20vores%20PHP-server.%20Firma%3A%20%E2%80%A6%20Website%3A%20%E2%80%A6

**Kort sagt:** Sury PHP-repositoryet er en vidt udbredt tredjepartskilde til PHP-pakker under Debian (packages.sury.org) og Ubuntu (PPA ondrej/php). Det tillader flere PHP-versioner side om side og nyere grene end distributionen. Efter PHP2Shell blev der dér ifølge rapporter stillet builds til rådighed for alle grene fra 5.6 til 8.5. Dokumentationen for jeres server leverer dog kun pakkestatus og changelog, ikke sikkerhedsmeddelelserne fra Debian eller Ubuntu.

## Hvad sury-repositoryet er

Bag sury.org står Ondřej Surý. Ifølge hans projektside pakker han som Debian-udvikler siden PHP 5 PHP-pakkerne til Debian, og de officielle PHP-pakker fra Debian og Ubuntu bygger på hans arbejde. Ved siden af dette arbejde driver han et eget repository med PHP-pakker, der kan installeres parallelt.

Til Debian ligger repositoryet under packages.sury.org, til Ubuntu tilbydes det som PPA `ondrej/php`. Fejl meldes ifølge projektsiden via en issue-tracker på Codeberg, ikke pr. e-mail. Vedligeholdelsen sker efter egne oplysninger overvejende i fritiden; til ældre distributionsversioner findes et kommercielt tilbud via Freexian.

Mange administratorer og hostingudbydere bruger repositoryet, fordi det tilbyder nyere PHP-grene, end distributionen medbringer, eller fordi applikationer kræver en bestemt version.

## Hvad der adskiller det fra Debian-pakkerne

Den vigtigste forskel for sikkerheden: Pakker fra sury.org falder ikke ind under sikkerhedsmeddelelserne fra Debian eller Ubuntu. Debian Security Tracker viser kun statussen for de officielle pakker. Står der dér, at php8.4 i trixie er rettet, siger det intet om et php8.4 fra sury.org på den samme server.

| Kendetegn | Officielle Debian- og Ubuntu-pakker | sury.org |
|---|---|---|
| Udgiver | Debian hhv. Canonical | Ondřej Surý som enkeltperson |
| Sikkerhedsmeddelelser | DSA, DLA, USN | ingen af disse meddelelser |
| Versioner | én gren pr. udgivelse | flere grene parallelt |
| Versionsnummer efter rettelse | Debian delvis ny upstream-version, Ubuntu oftest gammelt nummer med ny pakkestatus | som regel aktuel upstream-version |
| Dokumentation | meddelelse og changelog | changelog og pakkeversion |

For virksomheder betyder det en afhængighed af en enkeltperson for en central komponent. Det er ingen grund til at undgå repositoryet, men en grund til at bære den bevidst: med overvågning, dokumentation og en plan B.

## Sury PHP-repositoryet efter PHP2Shell: kontrollér status

Først afklarer I, om og til hvilke pakker serveren bruger sury. Kommandoerne er rent læsende.

```bash
# Er sury indtastet som pakkekilde?
grep -rEl "sury|ondrej" /etc/apt/sources.list /etc/apt/sources.list.d/ 2>/dev/null

# Hvilken kilde stammer den installerede pakke fra?
apt policy php8.3-fpm

# Installeret version og changelog-post om CVE'erne
dpkg-query -W -f='${Package}\t${Version}\n' 'php*-fpm' 'libapache2-mod-php*' 2>/dev/null
zgrep -E "CVE-2026-10961[89]" /usr/share/doc/php8.3-fpm/changelog.Debian.gz
```

Ved aktuelle grene genkender I rettelsen som regel på upstream-versionen 8.5.12, 8.4.27, 8.3.36 eller 8.2.35 i pakkenavnet. Ved gamle grene som 7.4 eller 8.1 findes der ingen officiel målversion, dér er changelog-posten det vigtigste bevis. Mangler den, så spørg via projektets issue-tracker, eller behandl pakken som uafklaret.

## Gamle PHP-grene fra sury: en bedragerisk bekvemmelighed

Repositoryet gør det let at drive PHP 7.4 eller endda 5.6 på en aktuel Debian. Ifølge rapporter fandtes der også til disse grene builds mod PHP2Shell. Det er nyttigt i den akutte situation, men flytter blot grundproblemet: PHP-projektet vedligeholder ikke længere disse grene, og den næste sårbarhed rammer dem igen.

Den, der på denne måde holder en gammel applikation i live, bør spørge sig selv ærligt, hvor længe endnu. Hvad der gælder for PHP 8.1 og ældre, opsummerer siden [PHP 8.1 og ældre: Hvad der gælder nu](https://phpsos.de/da/php2shell/php-8-1-und-aelter/). Kommercielle alternativer med deres grænser beskriver indlægget [Langtidssupport til gamle PHP-versioner](https://phpsos.de/da/blog/langzeitsupport-alte-php-versionen/).

> **Vigtigt:**
> Bland ikke ukontrolleret PHP-pakker fra distributionen og fra sury.org på en server. Afhængigheder mellem udvidelser og biblioteker kan ved næste opdatering føre til uventede pakkeskift.

## Anbefalinger til drift med sury

1. **Dokumentér**, hvilke servere der bruger sury, og til hvilke grene.
2. **Fastlæg oprindelsen**, f.eks. med APT-pinning, så PHP-pakker kun kommer fra én kilde.
3. **Overvåg opdateringer**, for uden DSA eller USN mangler den sædvanlige henvisning. En regelmæssig afstemning af `apt list --upgradable` hjælper.
4. **Genstart** efter hver opdatering, for hver installeret version for sig. Hvor mange der kører parallelt, viser indlægget [Flere PHP-versioner på én server](https://phpsos.de/da/blog/mehrere-php-versionen-server/).
5. **Støt**, hvis jeres virksomhed er afhængig af repositoryet. Projektsiden nævner donationer og kommerciel support som veje.

## Tilbage til distributionspakkerne?

Ikke enhver server, der i dag bruger sury, har brug for det længere. Ofte blev repositoryet indbundet for år tilbage, fordi den daværende distribution kun medbragte en ældre PHP-version. I mellemtiden leverer f.eks. Debian 13 trixie PHP 8.4, som ifølge Debian Security Tracker er rettet mod PHP2Shell. Hvis jeres applikation kører med denne version, kan vejen tilbage afslutte afhængigheden af en tredjepartskilde.

Vejen tilbage er et lille migreringsprojekt. Kontrollér først, hvilke udvidelser applikationen har brug for, og om distributionen tilbyder dem. Test applikationen med distributionspakken på en kopi, før I fjerner sury-kilden. Derefter kommer sikkerhedsmeddelelser igen ad de vante veje, og dokumentationen støtter sig til DSA eller USN i stedet for alene til en changelog.

Hvor en nyere eller ældre version end distributionens fortsat er nødvendig, er sury fortsat et fornuftigt valg. Så bør beslutningen dog træffes bevidst og dokumenteres.

## Hvordan hjælper PHP SOS konkret?

- Vi fastslår, hvilke PHP-pakker på jeres servere der stammer fra sury.org, fra distributionen eller fra andre kilder.
- Vi kontrollerer PHP2Shell-status pr. gren via pakkeversion og changelog og genstarter alle tjenester.
- Vi indretter pinning og opdateringsovervågning og fjerner ikke længere nødvendige grene som led i [serverhærdning](https://phpsos.de/da/leistungen/server-haertung/).
- For gamle grene planlægger vi overgangen til en understøttet version.


## Ofte stillede spørgsmål

**Er sury-repositoryet et officielt Debian-repository?**  
Nej. Det drives af Ondřej Surý, som ifølge egen side som Debian-udvikler længe har pakket PHP til Debian. Det er dog ikke Debians sikkerhedsarkiv, og til dets pakker findes der ingen Debian-sikkerhedsmeddelelser.

**Har sury.org stillet pakker til rådighed mod PHP2Shell?**  
Ifølge rapporter blev der stillet builds til rådighed for alle grene fra 5.6 til 8.5. Kontrollér alligevel selv statussen på jeres server via pakkeversion og changelog, for rapporterne erstatter ikke dokumentation for jeres system.

**Gør sury.org gamle PHP-versioner sikre igen?**  
Et build til en gammel gren kan lukke en konkret sårbarhed. Det ændrer ikke ved, at PHP-projektet ikke længere vedligeholder disse grene. For varig sikker drift er overgangen til en understøttet version fortsat nødvendig.

**Hvordan finder jeg ud af, om min server bruger sury?**  
Søg i pakkekilderne under /etc/apt efter sury eller ondrej, og kontrollér med apt policy, hvilken kilde de installerede PHP-pakker stammer fra.

## Kilder

- [DEB.SURY.ORG](https://deb.sury.org/)
- [Debian Security Tracker](https://security-tracker.debian.org/)
- [php.net: Understøttede versioner](https://www.php.net/supported-versions.php)